Inyección SQL en VeloCloud Orchestrator de Arista

Aris­ta ha dado a co­no­cer una falla de se­gu­ri­dad de gra­ve­dad crí­ti­ca que afec­ta a su pro­duc­to Ve­lo­Cloud Or­ches­tra­tor y que ya está sien­do uti­li­za­da de ma­ne­ra ac­ti­va en ata­ques. Este pro­ble­ma de tipo in­yec­ción SQL po­si­bi­li­ta que un usua­rio que ya cuen­ta con au­ten­ti­ca­ción al­can­ce el nivel de ope­ra­dor, dán­do­le la opor­tu­ni­dad de su­plan­tar a un su­per­usua­rio de ese tipo y en­trar a ca­pa­ci­da­des in­ter­nas que nor­mal­men­te están li­mi­ta­das.

Para que este fallo pueda ser apro­ve­cha­do, el ata­can­te ne­ce­si­ta con­tar pre­via­men­te con una se­sión vá­li­da den­tro del sis­te­ma, bas­tan­do para ello po­seer per­mi­sos de solo lec­tu­ra a nivel de em­pre­sa. Como res­pues­ta a esta si­tua­ción, el fa­bri­can­te in­di­có que las im­ple­men­ta­cio­nes alo­ja­das, lo que in­clu­ye a las ver­sio­nes de­di­ca­das, ya cuen­tan con la de­bi­da co­rrec­ción apli­ca­da.

En cuan­to a las ins­ta­la­cio­nes lo­ca­les, las edi­cio­nes vul­ne­ra­bles com­pren­den va­rian­tes an­te­rio­res a cier­tas nu­me­ra­cio­nes es­pe­cí­fi­cas den­tro de las ramas pro­vis­tas, mien­tras que aque­llas edi­cio­nes que ya no cuen­tan con so­por­te téc­ni­co ofi­cial no fue­ron ana­li­za­das. Como re­co­men­da­cio­nes de mi­ti­ga­ción tem­po­ral, se acon­se­ja li­mi­tar el ac­ce­so de ad­mi­nis­tra­ción ex­clu­si­va­men­te a en­tor­nos de con­fian­za y mo­ni­to­rear los re­gis­tros de ac­ti­vi­dad.